国連安全保障理事会で制裁を受けている北朝鮮の３大ハッキング組織が合同で８０社を超える韓国の防衛産業関連企業にハッキング攻撃をした事実が確認された。北朝鮮ハッキング組織の合同攻撃が摘発されたのは今回が初めて。

警察庁国家捜査本部（国捜本）安保捜査局は２３日、国家サイバー危機管理団との協調捜査で、北朝鮮ハッキング組織キムスキー・ラザルス・アンダリエルが１年６カ月ほど前から国内防衛産業の技術を盗み出すために合同でハッキングをし、国内防衛産業８３社のうち約１０社が被害を受けたことを確認した、と明らかにした。

国捜本の関係者は「すでにキムスキーは政府機関と政治家、ラザルスは金融機関、アンダリエルは軍と国防機関などを主に攻撃するよう役割が分担されていることが分かっている」とし「しかし今回の捜査を通じて一つの目的でほぼ同じ時期に共同で全方向で攻撃したという事実が確認された」と話した。

国捜本によると、これらハッキング組織は防衛産業企業に直接浸透したが、相対的にセキュリティーが脆弱な防衛産業協力企業をハッキングしてサーバーアカウント情報を盗み出した後、主要サーバーに無断浸透して悪性コードを流布する手法を使用した。ラザルスは２０２２年１１月ごろから防衛産業Ａ社の外部網サーバーをハッキングして悪性コードに感染させた後、テスト目的で開いているネットワーク連係システムのポートを通じて企業内部網まで掌握した。その後、開発チーム職員のコンピューターなど内部網コンピューター６台から重要資料を収集して国外クラウドサーバーに抜き出した。

アンダリエルの場合、２０２２年１０月ごろから防衛産業協力企業Ｂ社などを遠隔で維持・保守するＣ社のアカウント情報を入手し、Ｂ社などのサーバーに悪性コードを設置した後、防衛産業技術資料を盗み出した。キムスキーは２０２３年４－７月、防衛産業協力企業Ｄ社のメールサーバーでログインなく外部からメールで送受信した大容量ファイルをダウンロードできる弱点を悪用して資料を取り出した。

警察は攻撃に使われたＩＰアドレスと悪性コード、ソフトウェア脆弱地を悪用して経由地サーバーを構築する方式などを根拠に、北朝鮮ハッキング組織の犯行と判断したと説明した。一部の被害事例の場合、中国瀋陽地域で特定ＩＰ内訳が確認されたが、これは２０１４年の韓国水力原子力ハッキング攻撃当時に使用されたＩＰと同じであることが分かった。国捜本の関係者は「具体的な被害規模は国防部と防衛事業庁が把握する予定」と話した。

こうした中、北朝鮮は２２日に東海（トンヘ、日本名・日本海）上に短距離弾道ミサイル（ＳＲＢＭ） 数発を発射したことに対し、金正恩（キム・ジョンウン）国務委員長が直接指導したいわゆる『核の引き金（国家核兵器総合管理体系）』の核反撃仮想総合戦術訓練だったと主張した。

この日、朝鮮中央通信は「金委員長が参観した中、国家核武力の迅速反撃能力に重要な役割をする超大型放射砲兵部隊の運用訓練をした」とし、超大型放射砲（ＫＮ－２５）４発が移動式発射台（ＴＥＬ）から同時に発射される場面を公開した。

「核の引き金」は昨年３月に北朝鮮が初めて使用した用語だが、当時、戦術核弾頭「火山３１型」を公開しながら「核の引き金は多角的な作戦空間で各異手段で核兵器を統合運用する」と説明した。そして北朝鮮は同月、北朝鮮版イスカンデル（ＫＮ－２３）を利用して初めて核反撃訓練を行った。ＫＮ－２３とＫＮ－２５の射程距離から韓国を核攻撃の対象にしている点を明確にしたのだ。